স্ট্যাটিক বনাম ডাইনামিক অ্যানালাইসিস (SAST/DAST)

১ · SAST — কোড না চালিয়ে বিশ্লেষণ

SASTStatic Application Security Testingসোর্স কোড (বা কম্পাইল করা বাইটকোড) সরাসরি বিশ্লেষণ করে ঝুঁকিপূর্ণ প্যাটার্ন খোঁজা, কোড আদৌ না চালিয়েই — অনেকটা একজন অভিজ্ঞ রিভিউয়ার কোড পড়ে সন্দেহজনক লাইন চিহ্নিত করার মতো, কিন্তু স্বয়ংক্রিয়ভাবে। SAST টুল সোর্স কোড পড়ে এমন প্যাটার্ন খোঁজে যা সাধারণত সমস্যাযুক্ত — যেমন সরাসরি সিস্টেম কমান্ড এক্সিকিউট করা, ইউজার ইনপুট সরাসরি একটি কমান্ড বা কোয়েরি স্ট্রিং-এ জোড়া (concatenate) দেওয়া, বা হার্ডকোড করা সিক্রেট। এর বড় সুবিধা: এটি কোড লেখার সময়েই চালানো যায় (IDE-তে বা CI পাইপলাইনে), অ্যাপ্লিকেশন ডিপ্লয় করার প্রয়োজনও পড়ে না।

২ · DAST — চলমান অ্যাপ্লিকেশনকে বাইরে থেকে টেস্ট করা

DASTDynamic Application Security Testingএকটি চলমান অ্যাপ্লিকেশনের সাথে বাইরে থেকে ইন্টারঅ্যাক্ট করে (HTTP রিকোয়েস্ট পাঠিয়ে) দুর্বলতা খোঁজা — সোর্স কোড না দেখেই, ঠিক যেভাবে একজন বহিরাগত ব্যবহারকারী বা অ্যাটাকার অ্যাপ্লিকেশনটি দেখে। DAST টুল সোর্স কোড দেখে না — এটি প্রকৃতপক্ষে অ্যাপ্লিকেশনটি ডিপ্লয় করা অবস্থায় (সাধারণত একটি স্টেজিং এনভায়রনমেন্টে) বিভিন্ন রিকোয়েস্ট পাঠিয়ে দেখে সার্ভার কীভাবে সাড়া দেয়। এর সুবিধা: এটি এমন সমস্যা ধরতে পারে যা শুধু কোড পড়ে বোঝা যায় না — যেমন সার্ভার মিসকনফিগারেশন, ভুল HTTP হেডার, বা রানটাইম এনভায়রনমেন্টের সমস্যা।

৩ · একটি সত্যিকারের SAST-স্টাইল স্ক্যানার

নিচের কোড সেলে scan_source ফাংশনটি কয়েকটি সিন্থেটিক "সোর্স কোড" স্ট্রিং বিশ্লেষণ করে — os.system( কল, eval( ব্যবহার, এবং SQL কীওয়ার্ডের সাথে স্ট্রিং কনক্যাটেনেশন (+) — এই তিনটি সাধারণ ঝুঁকিপূর্ণ প্যাটার্ন সত্যিকারের সাবস্ট্রিং/লাইন-ভিত্তিক চেক দিয়ে খুঁজে বের করে। ফলাফল প্রতিটি স্নিপেটের জন্য সত্যিকারের কম্পিউট করা, আগে থেকে লেখা নয়।

SQL_KEYWORDS = ("select", "insert", "update", "delete")

def scan_source(code):
    """সরল SAST-স্টাইল স্ক্যানার — সোর্স কোড স্ট্রিং না চালিয়ে ঝুঁকিপূর্ণ প্যাটার্ন খোঁজে।"""
    flags = []

    if "os.system(" in code:
        flags.append("possible command injection via os.system(...)")

    if "eval(" in code:
        flags.append("use of eval() can execute arbitrary code")

    for line in code.splitlines():
        lowered = line.lower()
        if any(keyword in lowered for keyword in SQL_KEYWORDS) and "+" in line:
            flags.append(f"possible SQL injection via string concatenation: {line.strip()}")

    return flags

snippets = {
    "backup_script": '''
import os
def run_backup(filename):
    os.system("tar -cf backup.tar " + filename)
''',
    "unsafe_query": '''
def get_user(username):
    query = "SELECT * FROM users WHERE name = '" + username + "'"
    return db.execute(query)
''',
    "safe_query": '''
def get_user_safe(username):
    query = "SELECT * FROM users WHERE name = %s"
    return db.execute(query, (username,))
''',
    "eval_calculator": '''
def calculate(expr):
    return eval(expr)
''',
    "plain_add": '''
def add(a, b):
    return a + b
''',
}

for name, source in snippets.items():
    result = scan_source(source)
    status = "FLAGGED" if result else "clean"
    print(f"{name}: {status}")
    for flag in result:
        print(f"    - {flag}")